تحلیل‌های فنی نشان می‌دهند که یک آسیب‌پذیری از نوع Open Redirect (CWE-601) در رابط کاربری وب (Web UI) سرویس Kimi Code، متعلق به شرکت Moonshot AI، شناسایی شده است. این نقص که در نسخه‌های تا 2.5.2 وجود دارد، به مهاجمان اجازه می‌دهد تا با سوءاستفاده از ضعف در اعتبارسنجی پارامتر kimi_origin، کاربران را به سمت دامنه‌های غیرمجاز و مخرب هدایت کنند.
جزئیات فنی و نحوه حمله
این آسیب‌پذیری در تابع isOriginAllowed واقع در فایل‌های باندل شده فرانت‌اند (Front-end bundle) قرار دارد. در فرآیند عادی، اپلیکیشن باید مقدار ورودی kimi_origin را با یک لیست سفید (Allowlist) از دامنه‌های مورد اعتماد مقایسه کند؛ اما در این نسخه، این بررسی به درستی انجام نمی‌شود و اجازه می‌دهد مقادیر دستکاری شده توسط مهاجم پذیرفته شوند.
مهاجم برای اجرای این حمله، یک لینک دستکاری شده شامل پارامتر kimi_origin با مقصد مورد نظر خود ایجاد می‌کند. از آنجایی که این حمله نیازی به احراز هویت (Authentication) ندارد و از طریق شبکه (Network) قابل انجام است، ریسک اصلی آن در قالب حملات مهندسی اجتماعی (Social Engineering) و فیشینگ (Phishing) ظاهر می‌شود. در واقع، این نقص به عنوان یک تقویت‌کننده (Amplifier) برای حملات فیشینگ عمل می‌کند، زیرا لینک‌های مخرب به گونه‌ای به نظر می‌رسند که از دامنه معتبر Kimi Code منشأ گرفته‌اند.
میزان تأثیر و محدودیت‌ها
با توجه به امتیاز CVSS 4.0 برابر با 5.3، این آسیب‌پذیری دارای شدت پایینی است. تأثیر اصلی بر روی یکپارچگی (Integrity) سیستم است و هیچ تهدیدی برای محرمانگی (Confidentiality) یا در دسترس بودن (Availability) داده‌ها مشاهده نشده است. همچنین، این نقص به تنهایی منجر به اجرای کد از راه دور (RCE) یا سرقت داده‌ها نمی‌شود.
راهکارهای مقابله‌ای
تا لحظه انتشار این تحلیل، هنوز پَچ (Patch) رسمی از سوی سازنده منتشر نشده است. به عنوان اقدامات جبرانی (Compensating Controls)، پیشنهاد می‌شود:
- استفاده از یک Reverse Proxy احراز هویت‌شده برای محدود کردن دسترسی به رابط کاربری وب Kimi Code.
- بررسی و بازنویسی (Rewrite) پاسخ‌های Redirect در سطح پروکسی برای مسدود کردن مقاصد خارج از لیست سفید مورد اعتماد.
- آموزش کاربران برای عدم کلیک بر روی لینک‌های مشکوک که حاوی پارامتر
kimi_originهستند.
